Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache Hive」にユーザー定義関数を上書きされる脆弱性

「Apache Hive」の「ユーザー定義関数(UDF)」の機能に脆弱性が含まれていることが明らかとなった。4月にリリースされた「同3.1.3」にて修正済みだという。

「同3.1.2」および以前のバージョンでは、「CREATE」および「DROP」関数の操作において権限チェックの不備「CVE-2021-34538」が存在するもので、開発チームが7月16日に明らかにした。

脆弱性を悪用することで、認証や権限を持たないユーザーによって既存のユーザー定義関数を削除したり、あらたにjarファイルを指定するユーザー定義関数を再作成することが可能だという。

開発チームでは、脆弱性の重要度を「とても重要(Very Important)」とレーティング。米国立標準技術研究所(NIST)の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.5」と評価している。

CVE番号は2021年6月に採番されており、開発チームによれば、現地時間2022年4月8日にリリースした「同3.1.3」で修正済みだとしている。「同4.0」のベータ版でも対応しており、GA版においても修正が反映される見込み。

(Security NEXT - 2022/07/28 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

情報公開請求への対応で個人情報が流出 - 橿原市
応募フォームで個人情報が閲覧可能に - 東京都交通局
サイトに不正アクセス、リンクの書き込み - 三重県立総合医療センター
教委メールサーバ、不正中継でスパム踏み台に - 豊見城市
「MS Edge」にアップデート - 「クリティカル」とされる脆弱性を解消
NTT西の固定電話で一時通信障害 - ネット接続は影響なし
Samsung製スマホなどの既知脆弱性が攻撃の標的に - 米政府が注意喚起
Google、長期間放置アカウントを削除へ - 悪用防止対策で
米政府、ランサムウェア対応ガイドの改訂版を公開
未知の脆弱性で生じた通信障害、NTT東西に行政指導